Personne ne signale les emails suspects : comment créer le réflexe ?
Vos équipes suppriment les emails douteux sans rien dire ? Pourquoi ce silence vous coûte cher, et comment bâtir une culture du signalement en 90 jours.
Posez-vous une question simple : la dernière fois qu’un email frauduleux a circulé dans votre entreprise, comment l’avez-vous appris ? Si la réponse est « par hasard », « trop tard » ou « je ne l’ai jamais su », vous touchez du doigt un problème plus grave qu’il n’y paraît : vos collaborateurs reçoivent des emails suspects — c’est certain — mais personne ne les signale. Chacun supprime, doute en silence, ou pire, clique et n’ose rien dire.
Ce guide explique pourquoi ce silence est votre principal angle mort, pourquoi il ne relève ni de la mauvaise volonté ni de l’indifférence, et comment construire — sans aucun outil pour commencer — le réflexe qui transforme chaque collaborateur en capteur d’alerte.
À retenir
- Le signalement est votre système d’alerte le plus précoce : lors d’exercices, environ 20 % des destinataires signalent l’email piégé (Verizon DBIR 2024) — et il suffit d’un seul signalement rapide pour protéger tous les autres.
- Même après avoir cliqué, seuls 11 % des utilisateurs signalent l’email (Verizon DBIR 2024). Ce silence-là coûte le plus cher : il prive l’entreprise de l’information au moment exact où elle peut encore agir.
- En France, une violation de données met en moyenne 213 jours à être identifiée, puis 71 jours à être confinée (IBM 2025, périmètre France — voir nos statistiques de référence). Le signalement interne est le levier le plus direct pour raccourcir ce délai.
- Personne ne signale pour trois raisons précises : pas de canal connu, pas de retour, peur d’être jugé. Les trois se corrigent sans budget.
- Cette semaine : une adresse unique, une promesse de réponse systématique, un merci public aux premiers signaleurs.
Pourquoi le silence est votre plus grand risque
Une campagne de phishing n’arrive presque jamais dans une seule boîte mail. Le même faux message — fausse facture, fausse notification Microsoft, faux RIB fournisseur — touche plusieurs collaborateurs à quelques minutes d’intervalle. C’est précisément ce qui rend le signalement si puissant : la première personne qui signale protège toutes les autres. Un email signalé à 9 h 04 permet de prévenir l’équipe à 9 h 15, de vérifier si quelqu’un a cliqué, et de bloquer l’expéditeur — pendant que l’attaque est encore en cours.
Sans ce réflexe, le scénario est tout autre. L’email est supprimé par les uns, ignoré par les autres, et il suffit qu’une seule personne clique pour que l’incident commence — en silence. Les chiffres de référence donnent la mesure du problème : 62 % des violations de données impliquent le facteur humain (Verizon DBIR 2026), et chez les professionnels français, le piratage de compte est devenu la première menace (21 % des demandes d’assistance, souvent consécutif à un hameçonnage, selon Cybermalveillance.gouv.fr 2025). Or une compromission non signalée peut vivre longtemps : en France, il faut en moyenne 213 jours pour identifier une violation de données, puis 71 jours pour la confiner (IBM Cost of a Data Breach 2025).
Le taux de signalement est donc l’indicateur de sécurité le plus sous-estimé qui soit. Le taux de clic mesure votre exposition ; le taux de signalement mesure votre capacité de détection. Et contrairement au premier, le second peut faire la différence même quand tout le reste a échoué : un collaborateur qui a cliqué puis signalé dans les cinq minutes vous donne une chance réelle de contenir l’incident. C’est pour cela que les 11 % de « cliqueurs-signaleurs » du DBIR sont, paradoxalement, les personnes les plus précieuses de l’exercice.
Pourquoi personne ne signale : les trois causes réelles
Si vos collaborateurs ne signalent rien, ce n’est ni de la paresse ni du désintérêt. Dans la quasi-totalité des cas, trois mécanismes se combinent — et aucun ne se règle par un rappel à l’ordre.
Il n’y a pas de canal évident. Signaler à qui ? Comment ? Transférer l’email au patron semble excessif, en parler à la machine à café ne sert à rien, et le bouton « courrier indésirable » ne prévient personne. Face à cette friction, le cerveau choisit l’option la moins coûteuse : supprimer. Un doute qui demande plus de dix secondes d’effort pour être partagé ne sera pas partagé.
Signaler ne produit aucun retour. Là où un canal existe, il fonctionne souvent comme un trou noir : l’email part, rien ne revient. Le collaborateur ne saura jamais si son signalement était pertinent, exagéré, ou utile. Au deuxième silence, il conclut logiquement que cela n’intéresse personne — et il arrête.
Signaler expose au jugement. C’est la cause la plus profonde. Signaler un email légitime, c’est risquer de passer pour paranoïaque ; avouer un clic, c’est risquer de passer pour naïf, voire de s’attirer des ennuis. Dans une culture où l’erreur se paie, le comportement rationnel est le silence. C’est exactement ce que mesure le chiffre des 11 % : la culture sécurité d’une entreprise se lit dans ce que ses collaborateurs osent dire après une erreur.
La bonne nouvelle : ces trois causes sont organisationnelles, pas techniques. Elles se traitent avec un canal, une promesse et un ton — trois choses gratuites.
Ce que vous pouvez mettre en place cette semaine
Ouvrez un canal unique et sans friction. Une adresse dédiée du type alerte@votre-domaine.fr, ou le bouton de signalement natif de votre messagerie (Outlook comme Gmail en proposent un, que votre prestataire peut activer et rediriger). Un seul canal, connu de tous, utilisable en dix secondes depuis un téléphone. Communiquez-le par écrit et affichez la règle qui l’accompagne : au moindre doute, on signale — on ne se trompe jamais en signalant.
Faites la promesse du retour systématique — et tenez-la. Chaque signalement reçoit une réponse dans la journée, même en trois mots : « légitime, tout va bien », « suspect, on vérifie », « malveillant, bien vu — ne cliquez pas ». C’est cette boucle de retour qui maintient le canal vivant. Pour aider le référent à trancher, notre guide pour reconnaître un email frauduleux liste les signaux à vérifier, et notre analyseur d’en-têtes permet d’examiner la provenance réelle d’un message douteux.
Remerciez les premiers signaleurs, publiquement. Le premier collaborateur qui signale prend un risque social : il teste si votre promesse de non-jugement est sincère. S’il est remercié en réunion (avec son accord), les autres suivront. S’il est ignoré — ou pire, si sa fausse alerte fait sourire —, le canal est mort. Les fausses alertes se célèbrent au même titre que les vraies : elles prouvent que le réflexe s’installe.
Préparez la suite d’un signalement positif. Un signalement qui révèle un vrai phishing doit déclencher des gestes simples : prévenir les autres destinataires, vérifier si quelqu’un a cliqué, et dérouler les premières actions de notre guide que faire en cas de phishing. Rien de sophistiqué — mais écrit à l’avance, pas improvisé à chaud.
Les 90 jours : transformer l’essai en réflexe
Un canal qui fonctionne une semaine n’est pas une culture. Trois mois de constance suffisent en revanche à installer le réflexe — à condition de rythmer les choses.
Jours 1 à 15 : le lancement. Canal ouvert, règle communiquée, référent désigné avec une consigne de réponse dans la journée. Comptez ce que vous recevez : ce chiffre initial — souvent zéro — est votre point de départ.
Jours 16 à 45 : le rituel. Instaurez « l’email du mois » : dix minutes en réunion d’équipe autour d’un exemple réel signalé (anonymisé), ce qui l’a trahi, ce qui se serait passé en cas de clic. Ce rituel fait d’une pierre trois coups : il forme, il valorise les signaleurs, et il rappelle l’existence du canal. Intégrez aussi le signalement à l’accueil des nouveaux arrivants via votre onboarding cybersécurité.
Jours 46 à 90 : la mesure. Suivez le nombre de signalements par mois et partagez la tendance avec l’équipe — c’est l’un des indicateurs clés que nous détaillons dans mesurer l’efficacité de la sensibilisation. Attendez-vous à un paradoxe apparent : plus votre culture progresse, plus les signalements augmentent. Ce n’est pas que les attaques se multiplient — c’est que vous commencez enfin à les voir.
Un mot sur ce qu’il ne faut pas faire : pas de prime au signalement (elle encourage le volume, pas la pertinence), pas de classement individuel, et jamais de reproche pour une fausse alerte. Les erreurs qui tuent l’engagement en sensibilisation s’appliquent trait pour trait à la culture du signalement.
Quand un outil devient utile
Au bout de quelques semaines, vous verrez la limite de la mesure manuelle : vous comptez les signalements, mais sans dénominateur. Impossible de savoir si les emails non signalés ont été supprimés avec discernement… ou cliqués en silence.
C’est précisément ce que la simulation de phishing mesure : en envoyant le même email d’entraînement à un groupe connu, elle établit un vrai taux de signalement — quelle part des destinataires signale, en combien de temps — à côté du taux de clic. Les deux courbes racontent votre progression mieux que n’importe quel discours, et les 20 % de signalement observés dans les exercices du DBIR 2024 vous donnent un repère de comparaison, tout comme nos benchmarks de taux de clic par secteur.
Les critères honnêtes pour franchir le pas : un effectif qui dépasse la quinzaine de personnes, le besoin de chiffres datés (assurance cyber, questionnaires clients, audit), ou une croissance qui rend le suivi manuel intenable. Si vous êtes une petite équipe et que votre canal manuel vit bien, gardez-le — il fait l’essentiel. Le jour où vous comparez les plateformes, regardez en priorité comment chacune traite le signalement (bouton intégré, mesure du délai, valorisation du signaleur) : notre comparatif des solutions passe ce point en revue.
Questions fréquentes
Quel est un bon taux de signalement des emails suspects ?
Environ 20 % des destinataires signalent l’email lors d’exercices de simulation (Verizon DBIR 2024) — un bon cap après quelques mois. Au début, suivez la tendance plutôt que le niveau : passer de zéro à quelques signalements par mois change déjà votre capacité de détection.
Faut-il récompenser financièrement les signalements ?
Non : une prime encourage le volume plutôt que la pertinence. La reconnaissance sociale — un merci nominatif, un décompte d’équipe, la mention des signalements qui ont bloqué une attaque — fonctionne mieux et dure plus longtemps.
Que répondre à un employé qui signale un email finalement légitime ?
Merci. Une fausse alerte prouve que le réflexe s’installe, et son coût est négligeable face à celui d’une attaque non détectée. Si les fausses alertes sont moquées, tous les signalements s’arrêtent.
Qui doit traiter les signalements dans une PME sans service informatique ?
Un référent unique — office manager, DAF, dirigeant ou prestataire — qui accuse réception et donne un verdict simple. L’important est qu’un point de contact connu de tous réponde systématiquement, pas qu’il soit expert.
Le bouton « courrier indésirable » ne suffit-il pas ?
Non : il écarte l’email de votre boîte mais n’alerte personne. Le signalement interne sert à déclencher une vérification et à prévenir les autres destinataires pendant que l’attaque est en cours.
Un employé a cliqué puis a signalé : comment réagir ?
Remerciez-le explicitement : seuls 11 % des utilisateurs ayant cliqué signalent ensuite (Verizon DBIR 2024). Il vous donne une chance de réagir à temps. Traitez l’incident avec notre guide de réponse, puis racontez l’histoire anonymisée en réunion.
Comment mesurer le taux de signalement sans outil ?
Comptez les signalements mensuels sur votre adresse dédiée et suivez la tendance. Pour un taux précis avec un dénominateur connu, il faut des campagnes de simulation envoyées à un groupe identifié.
Une entreprise où personne ne signale n’est pas une entreprise sans attaques : c’est une entreprise qui ne voit pas les siennes. Le canal, la promesse de réponse et le merci public tiennent en une semaine et ne coûtent rien. Dans trois mois, la question ne sera plus « pourquoi personne ne signale ? » mais « qui a signalé le premier ? » — et c’est exactement la question que vous voulez poser.